CVE-2026-8272
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 93 - wyżej niż 93% wszystkich znanych CVE
Streszczenie
W D-Link DNS-320 2.06B01 wykryto lukę w funkcjach delete/rename/copy/move/chmod/chown w pliku /cgi-bin/webfile_mgr.cgi. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie; exploit został publicznie ujawniony.
Ocena ryzyka
Publicznie dostępny exploit zwiększa ryzyko zdalnego wykonania poleceń na urządzeniu.
Rekomendacja
Ogranicz dostęp do interfejsu zarządzania i rozważ aktualizację lub wymianę urządzenia, jeśli poprawka nie jest dostępna.
Inne podatności w D-Link DNS-320
Zobacz wszystkie- CVE-2026-8273Średnie
W D-Link DNS-320 2.06B01 zidentyfikowano słabość w funkcjach cgi_set_host/cgi_set_ntp/cgi_fan_control/cgi_merge_user w pliku /cgi-bin/system_mgr.cgi. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie.
- CVE-2026-8271Średnie
W D-Link DNS-320 2.06B01 zidentyfikowano podatność w funkcjach cgi_speed/cgi_dhcpd_lease/cgi_ddns/cgi_set_ip/cgi_upnp_del/cgi_dhcpd/cgi_upnp_add/cgi_upnp_edit w pliku /cgi-bin/network_mgr.cgi. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego, a atak można przeprowadzić zdalnie; exploit jest publicznie dostępny.
- CVE-2020-25506KrytyczneAktywnie exploitowane
Urządzenie D-Link DNS-320 z firmware w wersji 2.06B01 Revision Ax jest podatne na wstrzyknięcie poleceń w komponencie system_mgr.cgi. Luka umożliwia zdalne wykonanie dowolnego kodu.
- CVE-2019-16057KrytyczneAktywnie exploitowane
Skrypt login_mgr.cgi w urządzeniach D-Link DNS-320 do wersji 2.05.B10 jest podatny na zdalne wstrzyknięcie poleceń. Atakujący może wykorzystać tę lukę do wykonania dowolnych poleceń w systemie.
- CVE-2026-16447Wysokie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 nieznana funkcja w pliku /web/jquery/uploader/multi_uploadify.php jest podatna na nieograniczone przesyłanie plików przez argument Filedata[]. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16332Wysokie
W D-Link DNS-320 w wersji 1.0.2 wykryto lukę w pliku /mydlink/multi_uploadify.php, gdzie manipulacja argumentem Filedata[] prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16331Wysokie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 nieznana funkcja w pliku /web/function/save_ajax.php jest podatna na nieograniczone przesyłanie plików przez argument Malicious Handler. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16330Wysokie
W produkcie D-Link DNS-320 w wersji 1.0.2 wykryto podatność polegającą na nieograniczonym przesyłaniu plików w funkcji uploadify.php. Atakujący może zdalnie przesłać dowolny plik, co może prowadzić do przejęcia kontroli nad urządzeniem.
- CVE-2026-16329Wysokie
W D-Link DNS-320 w wersji 1.0.2 stwierdzono podatność w pliku /photo_center/php/uploadify.php, gdzie manipulacja argumentem Malicious Handler prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-16327Wysokie
W urządzeniu D-Link DNS-320 w wersji 1.0.2 wykryto podatność polegającą na nieograniczonym przesyłaniu plików. Problem dotyczy pliku /web/web_file/upload.php, gdzie manipulacja argumentem File umożliwia zdalne wgranie dowolnego pliku bez odpowiedniej weryfikacji. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in D-Link DNS-320 2.06B01. This affects the function delete/rename/copy/move/chmod/chown of the file /cgi-bin/webfile_mgr.cgi. The manipulation results in os command injection. The attack may be performed from remote. The exploit has been released to the public and may be used for attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS